Cyberangriffe melden: Gilt die 24-Stunden-Pflicht für Sie?
Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innert 24 Stunden dem BACS melden. Wer erfasst ist, entscheidet eine namentliche Liste — nicht Ihre Mitarbeiterzahl. Vier Fragen, Ergebnis sofort, ohne E-Mail-Adresse.
Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung
NIS2 gilt für Schweizer Unternehmen nicht — bis auf drei Ausnahmen.
Viele Anbieter erwecken den Eindruck, die EU-Richtlinie binde auch Schweizer Rechtsträger. Das ist als allgemeine Aussage falsch. Die Schweiz hat NIS2 nicht umgesetzt, und das ISG ist auch nicht „die Schweizer NIS2“ — es verlangt für private Betreiber kritischer Infrastrukturen ausschliesslich eine Meldung, kein Risikomanagement, keine Governance-Pflichten, keinen Wirksamkeitsnachweis.
Direkt erreichen kann NIS2 Sie in drei Konstellationen — und die sollten Sie kennen:
Über eine EU-Tochter
Erfasst ist die EU-Tochter, nicht die Schweizer Mutter. Der Haken: Bei der Grössenprüfung werden Konzernwerte grundsätzlich mitgerechnet — eine kleine EU-Tochter eines grossen Schweizer Konzerns ist damit im Regelfall erfasst. Ausnahme nur, wenn sie bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig ist.
Als digitaler Dienst ohne EU-Niederlassung
Nur für einen abschliessenden Kreis: DNS, TLD-Registries, Domain-Registrierung, Cloud, Rechenzentren, CDN, Managed Services, Managed Security Services, Online-Marktplätze, Suchmaschinen, soziale Netzwerke. Diese müssen einen Vertreter in der EU benennen. Für alle anderen Branchen gibt es diese Pflicht nicht — anders als bei der DSGVO.
Über den Vertrag Ihrer EU-Kunden
Das ist der praktisch häufigste Weg — und rechtlich der sauberste zu benennen: Nicht Sie sind verpflichtet, sondern Ihr Kunde. Erfasste EU-Einrichtungen müssen die Sicherheit ihrer unmittelbaren Lieferanten beurteilen und dokumentieren. Die Anforderung erreicht Sie vertraglich, als Fragebogen oder Auditrecht — nicht kraft Gesetzes.
Und der schärfste Termin: der Cyber Resilience Act
Wer Produkte mit digitalen Elementen auf den EU-Markt bringt, unterliegt der CRA unmittelbar — ohne Niederlassungserfordernis. Die Meldepflicht für aktiv ausgenutzte Schwachstellen (24 Stunden Frühwarnung, 72 Stunden Meldung an CSIRT und ENISA) gilt ab 11. September 2026, der Hauptteil ab 11. Dezember 2027.
Meldepflicht-Check
Der Schweizer Check funktioniert anders als der deutsche oder österreichische: Er läuft eine namentliche Liste ab (Art. 74b ISG), nicht eine Grössenschwelle. Grössenausnahmen gibt es nur für vier Kategorien.
Schweizer Pflichten
Fristen und Stichtage
Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart des ISG, der CSV und der genannten EU-Rechtsakte wieder und ersetzt keine Rechtsberatung. Verbindlich klärt Ihre Unterstellung nur das BACS: Es informiert interessierte Organisationen und erlässt auf Verlangen eine Verfügung (Art. 74a Abs. 2 ISG). Ihre Antworten werden nicht übertragen und nicht gespeichert.
„100 000 Franken Busse bei verspäteter Meldung“ — so stimmt das nicht.
Eine verspätete oder unterlassene Meldung ist für sich genommen nicht strafbar. Der Ablauf ist zweistufig: Liegen Anzeichen für eine Verletzung vor, informiert das BACS die Organisation zunächst und setzt eine angemessene Frist (Art. 74g ISG). Erst wenn diese verstreicht, erlässt es eine Verfügung. Strafbar ist dann nur, wer einer rechtskräftigen Verfügung vorsätzlich nicht Folge leistet — mit Busse bis 100 000 Franken (Art. 74h ISG).
Und ein Datum, das gerne unterschlagen wird: Die Strafbestimmungen gelten erst seit dem 1. Oktober 2025, ein halbes Jahr nach der Meldepflicht selbst.
Der Hebel liegt nicht in der Busse, sondern in der Frist: 24 Stunden ab Entdeckung. Wer in diesem Moment erst zusammensuchen muss, welche Systeme betroffen sind, wann was galt und wer was freigegeben hat, verliert genau die Zeit, die für die Meldung gedacht ist. Sind nicht alle Angaben verfügbar, räumt das BACS 14 Tage zur Vervollständigung ein (Art. 16 Abs. 1 CSV) — die 24 Stunden für die Erstmeldung bleiben davon unberührt.
Sehen Sie ReportAct an einem echten Nachweis.
30 Minuten, Ihr Regime, Ihre Pflichten. Wir richten einen Piloten ein — üblicherweise innerhalb einer Woche.